多因素驗證

代號mr.d0x的研究人員，公布他如何利用Linux螢幕分享軟體noVNC，打造出繞過多因素驗證（MFA）機制的網釣攻擊手法

觀察到國家級駭客去年發動大量暴力破解、網釣等憑證攻擊行動，微軟提醒組織應採取多因素驗證（MFA）以強化身分認證防護

針對去年底對其發動攻擊竊取紅隊評估工具、並成功滲透SolarWinds產品的駭客組織UNC2452，FireEye發布白皮書解釋UNC2452攻擊手法，分析攻擊者如何冒充任何使用者驗證登入聯邦式的資源供應商（如Microsoft 365），而無需用戶密碼或多因素驗證（MFA）機制，並提供企業因應之道

美國CISA發現一起網路攻擊事件，攻擊者利用釣魚信件誘使用戶下載惡意程式，或以暴力破解帳號進入受害者網路後，成功登入一個具有多因素驗證（MFA）保護的帳號。CISA相信，攻擊者可能是在用戶電腦上，以竊密程式取得瀏覽器的cookie，以繞過MFA的防護

早在4年前美國政府便呼籲金融等網路服務供應商不要使用簡訊OTP方案，推特、臉書也不再強制用戶使用簡訊為基礎的雙因素驗證

駭客搜尋受害者信箱的郵件對話串再以回覆信件方式發送釣魚信以隱藏身分，讓收件人不疑有他點選惡意連結

Yubico Login app讓用戶可以YubiKey硬體金鑰登入本機帳號，以前只有Mac和Linux版，現在正式支援Windows 7、8.1及10，最多提供10個Windows工作站本機帳號

由於必須考量安全性與使用者操作流程順暢度等因素，身分驗證業界以往都是各自為政，安全性等級不一，使用者也難以管理各式憑證與密碼，HITCON成員吳忠憲（JS）認為，網站與服務的供應者，應考慮採取通用二次驗證措施（U2F）標準，提供多因素驗證，藉此做到更加嚴謹的使用者身分保護。